FR 2700401 A1 19940713 FR 9300147 A 19930108 Système de synchronisation de tâches redondantes L'invention se rapporte à une installation de contrôle/commande, comprenant des premiers processeurs, au moins une paire de seconds processeurs reliés aux premiers processeurs, des tâches émettrices de données et résidant chacune dans un premier processeur, une paire de tâches redondantes réceptrices des mêmes données et résidant chacune dans un second processeur, et un système de10 synchronisation des tâches redondantes pour assurer que les tâches redondantes prennent en compte lesdites données fournies par les tâches émettrices selon une chronologie identique, le système de synchronisation étant agencé pour: encapsuler les données fournies par les tâches émettrices dans des messages incluant chacun une estampille temporelle, les messages étant envoyés vers les seconds processeurs; déterminer pour chaque message une date de stabilité du message à partir de l'estampille temporelle du message; maintenir en attente, dans chaque second processeur, les messages reçus par ce processeur, détecter des messages stables parmi les messages maintenus en attente, et fournir les données encapsulées dans les messages stables à la tâche redondante dudit second processeur selon un ordre25 chronologique donné par les estampilles temporelles des messages. L'invention s'applique plus particulièrement à la synchronisation de tâches redondantes résidant dans des calculateurs de contrôle d'automatisme (niveau 1 du modèle30 CIM) d'une installation de contrôle/commande industriel. La redondance active sur les entrées de tâches dupliquées est une technique connue pour mettre en oeuvre des procédures de tolérance aux fautes Les tâches redondantes prennent en entrée les mêmes données et35 exécutent le même programme de manière qu'une commutation de la sortie des tâches redondantes est possible en cas de défaillance d'une des tâches redondantes par exemple Ces tâches redondantes sont telles qu'elles ne réagissent qu'aux données d'entrée fournies par les tâches émettrices Elles restent isolées de leur environnement au cours du traitement 5 de ces données Les messages transmis par un premier processeur ont un ordre d'émission qui reste identique à leur ordre de réception par un second processeur Pour avoir une redondance active, il est nécessaire que les tâches redondantes aient le même comportement Compte tenu des10 hypothèses ci-dessus sur les tâches redondantes, une condition suffisante pour obtenir une équivalence de comportement est que les tâches redondantes prennent les données d'entrée dans le même ordre, c'est-à-dire soient synchronisées.15 On connaît du document ACM Computing Surveys -Vol 22 N 4 Dec 1990: "Implementing Fault-Tolerant Services Using State Machine Approach: A tutorial" de F Schneider, un système de synchronisation de tâches redondantes dans lequel l'estampille temporelle incluse dans chaque message20 est constituée par une date d'envoi du message Cette date d'envoi est donnée classiquement par une horloge du processeur dans lequel réside la tâche émettrice de données. Les granularités des horloges des processeurs sont suffisamment petites pour qu'en aucun cas, deux messages25 produits en sortie du même processeur aient la même estampille temporelle Les seconds processeurs ont eux aussi une horloge locale et les horloges des processeurs sont éventuellement resynchronisées en cas de besoin comme cela est connu pour qu'elles aient la même référence de temps. Le fonctionnement du système de synchronisation de tâches redondantes connu du document précédent est le suivant. Une constante de temps unique est déterminée au préalable, à partir de temps de transfert de données mesurés entre chaque tâche émettrice et chaque tâche redondante La constante de temps est égale au maxima de ces temps de transfert mesurés. Les messages reçus par un second processeur sont placés dans une file d'attente o ils sont ordonnés selon l'ordre croissant de leur estampille temporelle Une date de stabilité, pour chaque message est calculée, cette date étant égale au cumul de l'estampille temporelle et de la constante de temps Un message en entrée d'un processeur est dit stable lorsqu'aucun autre message ayant une estampille10 inférieure à celle de ce message ne peut plus arriver en entrée du processeur Par conséquent un message stable est détecté lorsque l'horloge du second processeur donne une date supérieure à la date de stabilité du message Celui-ci est alors prélevé de la file d'attente et la donnée qu'il15 contient est fournie à la tâche redondante résidant dans ce second processeur. Ce processus est effectué de la même façon sur l'autre second processeur. De cette manière, les tâches redondantes prennent en compte les données qu'elles reçoivent selon une chronologie identique donnée par les estampilles temporelles des messages encapsulant ces données. Ce système de synchronisation connu présente l'inconvénient suivant. Sur la figure 1, une installation de contrôle/commande est représentée schématiquement et comprend un poste 1 de conduite (PC) (niveau 2 du modèle CIM) relié, au travers d'un réseau 2 de transmission de messages supportant un protocole de communication par exemple apériodique, à des30 calculateurs de contrôle d'automatisme 3 (CA 1,CA 2) Les calculateurs de contrôle d'automatisme 3 sont reliés, au travers d'un réseau 4 de transmission de messages supportant un protocole de communication par exemple périodique, à des interfaces 5 déportées (E/51,E/52) qui reçoivent des données35 ou transmettent des données à un procédé physique 6 à contrôler Généralement, le processus de traitement de données reliant les interfaces déportées aux calculateurs de contrôle d'automatisme est temps réel Les caractéristiques des réseaux 2 et 4 sont telles que les temps de transmission des messages entre les interfaces déportées 5 et les 5 processeurs 3 sont très inférieurs aux temps de transmission des messages entre le poste 1 de conduite et les calculateurs 3. Du fait que la constante de temps utilisée pour la détermination de la date de stabilité de chaque message est uniforme pour tous les messages, ceux ci sont retardés en moyenne d'une même valeur de temps Il en résulte qu'un premier message faisant partie d'un processus de traitement temps réel et ayant un temps de transfert petit (message provenant de l'interface déportée) par rapport à celui d'un15 second message (message provenant du poste de conduite) peut être retardé d'un temps beaucoup plus important que le second message si le second message bien que reçu après le premier message par le calculateur de contrôle d'automatisme, a une estampille plus petite que celle du20 premier message Par conséquent, ce système connu de synchronisation de tâches redondantes est susceptible d'entraîner des dépassements de temps de réponse pour le processus temps réel et n'est donc pas adapté à une telle installation de contrôle/commande.25 Le but de l'invention est de remédier à cet inconvénient. A cet effet, l'invention a pour objet une installation de contrôle/commande telle que définie précédemment, caractérisée en ce que le système de synchronisation est en30 outre agencé pour: associer aux messages des codes d'identification identifiant chacun une tâche émettrice de données; enregistrer des constantes de temps en correspondance avec lesdits codes d'identification; augmenter les estampilles temporelles des messages avec lesdites constantes de temps pour déterminer les dates de stabilité des messages et définir l'ordre chronologique de prise en compte des données des messages stables par la tâche redondante résidant dans ce processeur de manière à privilégier la prise en compte des données encapsulées dans 5 les messages associés à un ou certains codes d'identification. Selon un mode de réalisation particulièrement simple, le système de synchronisation est agencé pour inclure dans chaque message un code d'identification identifiant une10 tâche émettrice. Le système de synchronisation est agencé pour maintenir en attente les messages reçus par un second processeur dans une file d'attente de messages, ordonner les messages en attente selon l'ordre croissant des estampilles15 temporelles des messages augmentées chacune d'une première constante de temps C, déterminer les messages stables parmi les messages maintenus en attente à partir des estampilles temporelles des messages augmentées chacune d'une seconde constante de temps R.20 Avantageusement, l'invention s'étend à un procédé pour déterminer les premières et secondes constantes de temps pour le système de synchronisation ci-dessus dans lequel les tâches émettrices comprennent une ou des tâches prioritaires et une ou des tâches non prioritaires Ce procédé assure que25 les temps d'attente, dans la file d'attente, des messages pour les tâches prioritaires sont réduits au maximum Si il n'y a qu'une seule tâche prioritaire, les messages pour cette tâche ont un temps d'attente nul Par ailleurs les temps d'attente des messages pour les tâches non30 prioritaires sont égaux entre eux et réduits au maximum. Un exemple de réalisation de l'invention est décrit ci-dessous en détail en référence aux dessins. La figure 1 représente une installation de contrôle/commande. La figure 2 représente la structure d'un message. La figure 3 représente un enregistrement dans une file d'attente de messages. La figure 4 représente sous forme de blocs fonctionnels, le système de synchronisation de tâches selon l'invention pour l'installation de contrôle/commande de la figure 1. La figure 5 est un organigramme illustrant une manière d'implémenter la détection de messages stables pour le système de synchronisation.10 Sur la figure 4, deux tâches Tl,T 2 émettrices de données D portant la référence 50 résident dans des interfaces déportées 5 Chaque interface déportée 5 est constitué classiquement d'un processeur avec mémoire et équipement périphérique Elles comportent chacune une horloge locale 52,54. Une tâche Tl émettrice de données D portant la référence 10 réside dans le poste de conduite 1 Le poste de conduite est constitué d'un processeur avec mémoire et équipement périphérique Il comporte aussi une horloge locale 12. Deux tâches redondantes R 1,R 2 réceptrices des données D fournies par les tâches T 1,T 2,T 3 portent la référence 30 et résident dans les calculateurs de contrôle d'automatisme 3 Chaque calculateur de contrôle d'automatisme 3 est constitué aussi d'un processeur avec mémoire et périphérique Ils comportent chacun une horloge locale 32. Le système de synchronisation des tâches Ri et R 2 est maintenant décrit. Il comporte d'abord des tâches interfaces de sortie (non représentées), réparties dans le poste de conduite 1 et les interfaces déportées 5, qui forment des messages 60 en sorties des tâches émettrices de données 10,50. Ces tâches interfaces de sortie se couplent aux tâches émettrices par l'intermédiaire de files d'entrée/sortie (non représentées) de données pour assurer le passage des données sur les réseaux 2,4 vers les calculateurs 3 De cette façon, la structure et le fonctionnement des tâches émettrices sont indépendants de la synchronisation des tâches redondantes. Comme représenté sur la figure 2, chaque message 60 comprend une zone 61 de donnée dans laquelle est inscrite une donnée D fournie par une tâche émettrice, une zone 62 dans laquelle est inscrite la date HL constituant une estampille temporelle donnée par une horloge locale 12,52,54 au moment de la formation du message et une zone 63 dans laquelle est inscrit un code d'identification de tâche ou de10 site NS Chaque tâche interface de sortie code les messages qu'elle forme selon le protocole de communication adéquat pour les envoyer sur les réseaux 20 et 40. Selon un exemple de réalisation simple, le code d'identification des messages est une valeur numérique Par exemple, les messages formés en sortie de la tâche Tl ont un code d'identification égal à 1 Les messages formés en sortie de la tâche T 2 ont un code d'identification égal à 2 et les messages formés en sortie de la tâche T 3 ont un code d'identification égal à 3 De cette manière, les messages 6020 peuvent être différenciés facilement en fonction de leurs origines respectives. Le système de synchronisation des tâches redondantes R 1,R 2 comprend ensuite des tâches interfaces d'entrée réparties dans les calculateurs 3 Chaque tâche interface25 d'entrée a pour fonction de saisir les messages 60 reçus par un calculateur 3, retarder éventuellement les messages reçus dans une file d'attente 33 et fournir les données encapsulés dans les messages à la tâche redondante 30 quand les messages sont stables.30 Par la suite, le mode de fonctionnement du système de synchronisation sera décrit en faisant référence uniquement à une tâche interface d'entrée pour une tâche redondante 30 résidant dans un calculateur 3. Cette tâche interface d'entrée exploite des constantes de temps précalculées et enregistrées en mémoire ou calculées en ligne dans le calculateur 3 pour déterminer la date de stabilité des messages et l'ordre de prise en compte des données fournies à la tâche redondante 30. Pour déterminer ces constantes de temps, il est nécessaire de mesurer d'abord les temps de transfert minima et maxima d'une donnée D entre chaque tâche émettrice 10,50 et la tâche redondante 30 Dans le cas présent, m 1,m 2,m 3 sont les temps de transfert minima d'une donnée D entre les tâches T 1,T 2,T 3 et la tâche R 1 M 1,M 2,M 3 sont les temps de transfert maxima d'une données D entre les tâches T 1,T 2,T 310 et la tâche R 1 Un temps de transfert est égal à la différence entre la date locale de réception d'une données par une tâche 30 dans un processeur 3 et la date locale d'émission de cette donnée par une tâche 10,50 dans un processeur 1,5.15 Dans l'exemple de réalisation de l'invention, il est souhaitable de privilégier les messages provenant des interfaces déportées 5 par rapport à ceux provenant du poste de conduite 1 Les tâches T 1,T 2 sont donc des tâches prioritaires.20 On détermine ensuite des premières constantes de temps C 1,C 2,C 3 respectivement pour les tâches T 1,T 2, T 3 à partir des relations suivantes, o M est égal à 2 et N est égal à 3. Cj=mo Ykk=j min(moyk) max(diffk) max(diffk) pour j->l,M k->M+l,N k-> l,M k->M+ 1,N Cj=mo Yk,k=j min(mo Yk) pour j->M+ 1,N k->M+ 1,N si min(moyk) min(moyk) max(diffk) max(diffk) ≥o k->l,M k->M+i,N k- >l,M k->M+i 1,N et Cj= mo Yk,k=j min(moyk) pour j->l,M k->l,M Cj=mo Ykk=j min(moyk)+ max(diffk)+ max(diffk) pour j->M+ 1,N k->l,M k->l,M k->M+ 1,N si min(moyk) min(moyk) max(diffk) max(diffk) l,M k->M+ 1,N k->l,M k->M+i,N o mo Yk= (mk+Mk)/2 pour k-> l,N diffk= (Mk-mk)/2 pour k->l N. On détermine ensuite des secondes constantes de temps R 1,R 2,R 3 respectivement pour les tâches T 1,T 2, T 3 à partir de la relation suivante, dans laquelle les indices i et j vont de 1 à 3. Ri = max(Mj Cj) + Ci t j#i De préférence, les constantes de temps Cl,C 2,C 3 et R 1,R 2,R 3 sont préalablement enregistrées dans le calculateur 3 pour être récupérées sélectivement à partir d'un code d'identification En variante, les valeurs mk et Nk des temps de transfert mesurés sont enregistrées dans le calculateur 3 pour être récupérées sélectivement à partir15 d'un code d'identification, le calcul des constantes de temps C et R se faisant en ligne. En réponse aux messages 60 reçus en entrée du calculateur 3, la tâche interface d'entrée décode ces messages et forme des enregistrements 34 qui sont maintenus20 en attente dans une file d'attente 33 Chaque enregistrement 34, comme visible en figure 3, comporte un champ 35 dans lequel est inscrit la donnée D d'un message, un champ 36 dans lequel est inscrite l'estampille HL du message augmentée de la constante Cj dont l'indice j correspond ou25 est égal au code d'identification NS du message, un champ 37 dans lequel est inscrit le code d'identification NS du message, un champ 38 dans lequel est inscrite la valeur d'estampille HL du message augmentée de la constante de temps Rj dont l'indice j correspond ou est égal au code30 d'identification NS du message, et un champ 39 dans lequel est inscrite une variable booléenne de contrôle F positionnée à "Faux". La valeur du champ 38 d'un enregistrement correspond à la date de stabilité d'un message. Par ailleurs des constantes booléennes B sont enregistrées dans le calculateur 3 en correspondance avec les codes d'identification Pour un code d'identification i, la valeur de la constante booléenne est "Vrai" si: max(Mj Cj) (mi Ci) > O pour j#i Dans ce cas, l'expression max(Mj Cj) (mi Ci) donne le temps d'attente maximal d'une donnée d'un message en attente d'être stable Dans le cas contraire, ce temps d'attente est nul. Ces constantes booléennes seront exploitées pour éviter de maintenir en attente les messages qui sont stables en entrée du processeur 3. Le fonctionnement de la tâche interface d'entrée est maintenant décrit en référence à la figure 5. Les messages 60 transitant par les réseaux 2 et 4 sont reçus en séquence en entrée du calculateur de contrôle d'automatisme 3 par la tâche interface d'entrée. Un message 60 reçu est décodé en 100 pour récupérer la donnée D, l'estampille HL et le code d'identification NS du message. A partir du code d'identification NS, les constantes de temps Cj,Rj et la constante booléenne Bj dont l'indice j correspond au code d'identification NS sont récupérées en 110. La constante booléenne Bj est comparée à la valeur "Vrai" en 120 Si elle n'est pas égale à "Vrai", la donnée D du message reçu est fournie directement à la tâche redondante Rl en 130 puisque ce message est stable Dans le cas contraire, un enregistrement 34 est formé à partir du message 60 en 140 et est placé dans la file d'attente 33 de façon à ce que les enregistrements 34 soient ordonnés selon30 l'ordre croissant des valeurs de champ 36 Si deux enregistrements consécutifs dans la file d'attente 33 ont la même valeur de champ 36, celui ayant la plus faible valeur de champ 37 précède l'autre dans la file d'attente. Après les étapes 130 et 140, les enregistrements 34 dans la file d'attente 33 sont balayés en 150 Pour chaque enregistrement 34 balayé, la variable de contrôle F dans le il champ 39 est comparée à la valeur "Vrai" en 160 Si cette variable de contrôle est égale à "Vrai", le traitement continue en 150 pour l'enregistrement 34 suivant jusqu'à ce que tous les enregistrements aient été balayés Dans le cas 5 contraire, la date de stabilité dans le champ 38 pour l'enregistrement balayé est comparée en 170 à la date actuelle fournie par l'horloge locale 32 du calculateur de contrôle d'automatisme 3 Si cette date de stabilité est inférieure à la date actuelle, la variable de contrôle F du10 champ 39 est positionnée à "Vrai" en 180 et le traitement continue en 150 et sinon en 150 Quand tous les enregistrements 34 ont été balayés dans la file d'attente 33, le traitement se poursuit en 190 Dans cette étape, si le premier enregistrement 34 de la file d'attente 33 (celui ayant un champ 36 de plus faible valeur) a une variable de contrôle F égale à "Vrai", une première donnée D dans le champ 35 de cet enregistrement est fournie à la tâche Ri. L'enregistrement est simultanément enlevé de la file d'attente qui est réorganisée en conséquence Si de nouveau20 la variable de contrôle F du premier enregistrement de la file d'attente est égale à "Vrai", une seconde donnée D dans le champ 35 de cet enregistrement est fournie à la tâche Ri qui la prendra en compte après la première donnée D Cette procédure est répétée jusqu'à ce que la variable F soit25 égale à "Faux", auquel cas le traitement est terminé. Les étapes 100 à 190 sont répétées pour chaque nouveau message 63 reçu en entrée pour ce calculateur de contrôle d'automatisme La tâche interface d'entrée ci-dessus décrite fonctionne de la même façon pour l'autre tâche redondante30 résidant dans l'autre calculateur de contrôle d'automatisme, les constantes de temps devant seulement être adaptées aux temps de transfert de données pour ce calculateur. L'invention peut par conséquent s'appliquer facilement à un nombre de calculateurs de contrôle d'automatisme et de35 tâches redondantes supérieur à 2. REVENDICATIONS 1) Une installation de contrôle/commande, comprenant des premiers processeurs ( 1,5), au moins une paire de seconds processeurs ( 3) reliés aux premiers processeurs, des tâches émettrices de données ( 10, 50) et résidant chacune dans un premier processeur, une paire de tâches redondantes ( 30) réceptrices des mêmes données et résidant chacune dans un second processeur, et un système de synchronisation des tâches redondantes pour assurer que les tâches redondantes prennent en compte lesdites données fournies par les tâches émettrices selon une chronologie identique, le système de synchronisation étant agencé pour: encapsuler les données fournies par les tâches émettrices dans des messages ( 60) incluant chacun une estampille temporelle ( 62), les messages étant envoyés vers les seconds processeurs; déterminer pour chaque message une date de stabilité du message à partir de l'estampille du message; maintenir en attente, dans chaque second processeur, les messages reçus par ce processeur, détecter des messages stables parmi les messages maintenus en attente, et fournir les données encapsulées dans les messages stables à la tâche redondante dudit second processeur selon un ordre25 chronologique donné par les estampilles temporelles des messages, c a r a c t é r i S é en ce que le système de synchronisation étant en outre agencé pour: associer aux messages des codes d'identification ( 63) identifiant chacun une tâche émettrice de données; enregistrer des constantes de temps en correspondance avec lesdits codes d'identification; augmenter les estampilles temporelles des messages avec lesdites constantes de temps pour déterminer les dates de stabilité des messages et définir l'ordre chronologique de prise en compte des données des messages stables par la tâche redondante résidant dans ce processeur de manière à privilégier la prise en compte des données encapsulées dans les messages associés à un ou certains codes d'identification. 2) Le système selon la revendication 1, dans lequel le système de synchronisation est agencé pour inclure dans chaque message un code d'identification identifiant une tâche émettrice.10 3) Le système selon l'une des revendications 1 ou 2, dans lequel le système de synchronisation est agencé pour maintenir en attente les messages reçus par un second processeur dans une file d'attente de messages ( 33),15 ordonner les messages en attente selon l'ordre croissant des estampilles temporelles des messages augmentées chacune d'une première constante de temps C, déterminer les messages stables parmi les messages maintenus en attente à partir des estampilles temporelles des messages augmentées chacune20 d'une seconde constante de temps R. 4) Un procédé pour déterminer les premières et secondes constantes de temps pour une installation de contrôle/commande selon la revendication 3, dans laquelle25 les tâches émettrices comprennent une ou plusieurs tâches émettrices prioritaires Tl,T 2, TM et une ou plusieurs tâches non prioritaires TM+ 1, TN, le procédé consistant à: mesurer les temps de transfert minima mk et maxima Mk d'une donnée entre chaque tâche émettrice Tk et une tâche redondante, calculer les premières constantes Cj, l'indice j allant de 1 à N, à partir des relations suivantes: Cj=moykk= min(moyk) max(diffk) max(diffk) pour j->l,M k->M+ 1,N k->l,M k->M+ 1,N Cj=m O Yk,k=j min(Mo YO) pour j->M+ 1,N k->M+i 1,N si min(moyk) min(moyk) max(diffk) max(diffk) ≥o k->l,M k->M+ 1,N k->l,M k->M+ 1,N et Cj= mo Yk, k=j min(mo Yk) pour j->l,M k->l,M Cj=mo Yk,k=j min(moyk)+ max(diffk)+ max(diffk) pour j->M+ 1,N k->l,Mk ->->l,M k->M+ 1,N si min(moyk) min(moyk) max(diffk) max(diffk) l,M k->M+ 1,N k->l,M k-> M+ 1,N o mo Yk= (mk+Mk)/2 pour k->l,N diffk= (Mk-mk)/2 pour k->l,N et calculer les secondes constantes de temps Rj, l'indice j allant de 1 à N, à partir de la relation suivante: Rj = max (Mk Ck) + Cj pour k#j